[공격] 분석 — CVE-2019-0604

• 심각도 critical · CVSS 9.8 · EPSS 0.99825 · 악용난이도 easy · KEV

이 취약점은 SharePoint가 Application Package의 소스 마크업을 검증하지 않는 결함에서 비롯된다. 공격자는 특수하게 조작된 패키지 파일을 업로드하여 서버 측에서 임의 코드를 실행시킨다.

• 공격 표면 및 트리거:
  • 노출 엔드포인트: SharePoint Application Package 업로드 및 배포 관련 API/엔드포인트.
  • 트리거: AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 외부 공격자가 네트워크를 통해 조작된 마크업이 포함된 패키지를 전송하는 순간 트리거된다.
• 공격 체인 (Attack Chain):
  1. 정찰: 대상 서버의 SharePoint 버전 및 Application Package 업로드 가능 여부 확인.
  2. 초기 접근: 인증 없이(Unauthenticated) 조작된 XML/마크업 기반의 Application Package를 전송.
  3. 실행 (RCE): 서버가 패키지 내의 마크업을 검증 없이 처리하는 과정에서 역직렬화 또는 동적 코드 실행 결함을 이용하여 OS 커맨드 실행.
  4. 권한 획득: 추정: SharePoint 서비스 계정(Service Account) 권한으로 초기 쉘 획득.
  5. 지속 및 영향: 획득한 권한을 바탕으로 웹쉘 설치 또는 내부망 스캐닝 수행.
• 공격 원리 예시: 패키지 내 설정 파일이나 마크업 섹션에 서버가 해석 가능한 악성 페이로드(예: <object> 태그나 특정 클래스 인스턴스화 유도)를 삽입하여 실행 흐름을 가로채는 방식.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 원격 공격자가 네트워크를 통해 아무런 제약 없이 트리거할 수 있어 공격 난이도가 매우 낮습니다. 특히 EPSS 점수가 0.99825로 극히 높고 KEV에 등재되었다는 점은 이론적 위험을 넘어 이미 야생(In-the-wild)에서 무기화된 익스플로잇이 광범위하게 유포되고 있음을 입증합니다. 공격 표면은 SharePoint의 애플리케이션 패키지 업로드 및 처리 엔드포인트에 집중되며, 소스 마크업에 대한 검증 미비라는 근본적인 결함을 이용해 악성 페이로드를 주입합니다. 공격자는 특수하게 조작된 패키지를 전송하는 것만으로 서버 측에서 임의 코드를 실행(RCE)할 수 있으며, 이는 초기 접근 단계에서 즉시 시스템 권한을 획득하는 치명적인 경로가 됩니다. 결과적으로 복잡한 체이닝 없이 단일 요청만으로도 서버 제어권을 탈취할 수 있어 악용 가능성이 극대화된 상태입니다.

• 완전한 시스템 제어: 인증 없이 RCE가 가능하므로, 공격자가 SharePoint 서버의 OS 권한을 획득하여 데이터 탈취, 변조 및 내부망 침투의 교두보로 활용할 수 있다.
• 광범위한 피해: 영향 제품이 Enterprise Server, Foundation 등 다수 버전으로 확인되어 공급망 관점에서의 파급력이 매우 크다.

본 취약점은 단독으로도 Critical(CVSS 9.8)하지만, 다음과 같은 체이닝 경로를 통해 피해가 극대화될 수 있다.

• 권한 상승 체이닝: 추정: RCE로 획득한 서비스 계정 권한에서 OS 커널 취약점이나 설정 오류를 이용해 SYSTEM 또는 Administrator 권한으로 상승.
• 정보 노출 → 타겟팅: 추정: 다른 정보 노출 취약점을 통해 서버의 내부 경로 및 버전을 정밀하게 파악한 후, 최적화된 마크업 페이로드를 구성하여 공격 성공률을 높이는 방식.
• 횡적 이동 (Lateral Movement): SharePoint 서버가 도메인 컨트롤러나 DB 서버와 연결되어 있는 점을 이용해, 획득한 세션 토큰이나 자격 증명을 통해 내부망으로 확산.

• 네트워크 레벨: HTTP POST 요청 중 Application Package 업로드 관련 엔드포인트로 유입되는 비정상적인 XML 마크업 또는 알려진 RCE 페이로드 패턴 감시.
• 호스트 레벨: w3wp.exe (IIS Worker Process) 하위에서 실행되는 비정상적인 cmd.exe, powershell.exe 프로세스 생성 및 외부 C2 서버로의 아웃바운드 연결 모니터링.

• 즉시 조치: KEV 등재 및 EPSS 0.99825(실제 악용 예측 최고 수준) 수치를 근거로, 24시간 내에 최신 보안 업데이트 적용이 필수적이다. 다중 소스 교차검증을 통해 일관성이 확인된 Critical 취약점이므로 지체 없이 패치해야 한다.
• 근본 해결: Microsoft에서 제공하는 CVE-2019-0604 대응 공식 패치를 적용하여 마크업 검증 로직을 보완한다.
• 임시 완화: 패치가 불가능한 경우, 외부에서 Application Package 업로드 관련 API에 접근하지 못하도록 네트워크 ACL 또는 WAF 규칙으로 차단한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99825 · exploit=easy · in_scope=None